Quishing: QR-generatorji so najbolj zlorabljene domene

Ta ugotovitev spremeni argument v tem članku iz mnenja v dokaz. Quishing — lažno predstavljanje, dostavljeno prek QR-kode — deluje, ker natisnjenega kvadrata ni mogoče prebrati s prostim očesom. Vendar se *razširi* zato, ker so legitimna podjetja celo desetletje javnost učila, da je skeniranje neznane kratke domene nekaj običajnega.

Telemetrija Unit 42 iz februarja 2026 v povprečju beleži več kot 11.000 zaznav zlonamernih QR-kod na dan, promet prek storitev za krajšanje QR-povezav pa se je od prve polovice leta 2023 do prve polovice leta 2024 povečal za 55 %, v prvi polovici leta 2025 pa še za 44 %. Tako FBI kot FTC sta izdala javna opozorila: Internet Crime Complaint Center je objavil PSA 220118 o kriminalcih, ki spreminjajo kode za krajo denarja in poverilnic, julija 2025 pa je sledilo opozorilo o nenaročenih paketih z QR-kodami, medtem ko je FTC opozoril, da goljufi prekrijejo legitimne kode z lastnimi nalepkami, pri čemer je posebej omenil parkirne avtomate.

Zakaj QR-kode ni mogoče preveriti pred skeniranjem?

Ljudi smo z nekaj uspeha naučili, naj povezavo pregledajo, preden jo kliknejo: premaknejo naj kazalec nanjo, preberejo domeno in poiščejo napačno črkovanje. Ta obramba je odvisna od tega, ali lahko vidijo URL.

QR-koda to obrambo izniči. Cilj je kodiran v vzorcu, ki ga človek s prostim očesom ne more razvozlati. Kazalca ni mogoče premakniti nanjo. Kamero usmerite v kvadrat in nekaj se odpre ali pa ne. Edini možni trenutek za obrambo je predogled, ki ga nekateri skenerji prikažejo najprej — na majhnem zaslonu in v naglici pa je ta predogled skrajšan niz, ki ga večina ljudi ne prebere.

Kako so videti glavni napadi?

NCSC to glede e-pošte izrecno poudarja: vsa varnostna orodja ne pregledujejo slik, zato lahko QR-koda, ki kaže na zlonamerno spletno mesto, pride skozi filtre, ki bi isto povezavo zaznali kot besedilo — uporabniki pa jo običajno skenirajo z osebnim telefonom, ki nima zaščit upravljanega službenega računalnika. Naša stran o QR-kodah za Wi-Fi pojasnjuje to obliko podatkovnega zapisa; če veste, kako je videti, jo lahko preverite.

Kako so preusmeritve uničile zadnjo obrambo?

Predstavljajmo si, da bi vsako legitimno podjetje uporabljalo statične kode, v katerih je zapisana njegova lastna domena. Predogled skenerja bi pokazal restaurant-name.com/menu, cityparking.gov/pay, yourbank.com/verify. Prepoznavno. Predogled z x7q-cdn.click/8Hf2 bi nato očitno izstopal kot napačen, ker bi se razlikoval od vsake legitimne kode, ki jo je ta oseba kdaj skenirala.

To ni svet, v katerem živimo. Ogromno legitimnih kod — od restavracij, trgovcev in muzejev do prometnih agencij, celo državnih organov — se razreši prek tretjih kratkih domen, ki osebi, ki skenira, ne pomenijo ničesar. Posledica je neposredna: neznana domena v predogledu QR-kode ne pomeni več ničesar. Ljudje so se naučili, da jo prezrejo in nadaljujejo, stokrat, brez škode.

Unit 42 rezultat povzame brez ovinkarjenja: »Tudi varnostno ozaveščeni ljudje, ki pred skeniranjem preverijo predogled URL-ja, ne morejo določiti končnega cilja, ko se srečajo s skrajšanimi povezavami.« Industrija preusmeritev ni izumila quishinga. Odstranila je edino hevristiko, ki so jo imeli običajni ljudje proti njemu — mehanizem je opisan pri ugrabitvi preusmeritev.

Trije sekundarni učinki

• Prikrivanje. Preusmeritev lahko različnim obiskovalcem prikaže različne cilje — raziskovalcu varno vsebino, telefonu v ciljnem mestu pa pravi tovor. Statična koda tega ne more; njen podatkovni zapis je nespremenljiv in enak za vse.
• Odložena aktivacija. Koda lahko več tednov kaže na nekaj neškodljivega, prestane pregled, nato pa jo je mogoče preklopiti. To je ista možnost urejanja, ki jo industrija prodaja kot prednost.
• Pranje ugleda. Prepoznana domena storitve za krajšanje povezav daje legitimnost vsemu, na kar preusmeri.

Kako se zaščitite pri skeniranju?

1. Preberite domeno v predogledu. Če je vaš skener ne prikaže, uporabite takega, ki jo. NCSC priporoča skener, vgrajen v telefon, namesto aplikacije iz trgovine.
2. Vsako kodo v nenaročeni pošti ali e-pošti obravnavajte kot zlonamerno. Legitimne organizacije le redko potrebujejo, da za rešitev nujne težave z računom skenirate natisnjen kvadrat — obe zgornji opozorili FBI obravnavata prav to.
3. Fizično preverite nalepke. Privzdignite rob. Nalepka čez nalepko je najpogostejša postavitev quishinga in jo lahko zaznate s prstom.
4. Na strani, do katere ste prišli s skeniranjem, nikoli ne vnašajte plačilnih podatkov. Do storitve pojdite sami: vtipkajte naslov ali odprite aplikacijo.
5. Ko ste v dvomih, kodo razvozlajte namesto skeniranja. Kodo fotografirajte in njen podatkovni zapis preberite na naši strani za razvozlavanje, ne da bi kar koli odprli.

Kaj če ste zlonamerno kodo že skenirali?

Samo skeniranje skoraj nikoli ne ogrozi telefona. Pomembno je, kaj se je zgodilo nato, zato ukrepajte glede na to.

1. Če ste si samo ogledali stran in jo zaprli, ste skoraj zagotovo varni. Zabeležite domeno, če jo boste morali prijaviti, in nadaljujte z običajnimi opravili.
2. Če ste vnesli geslo, ga takoj spremenite na pravi strani in ga spremenite povsod, kjer ste ga ponovno uporabili. Ob tem vklopite večfaktorsko preverjanje pristnosti.
3. Če ste vnesli podatke kartice, takoj pokličite banko ali zamrznite kartico v bančni aplikaciji, še preden preverite kar koli drugega. Prijavite jo kot goljufivo stran, ne kot sporno plačilo.
4. Če ste kaj namestili, to odstranite, nato pa preverite dovoljenja aplikacije ter morebitna dovoljenja skrbnika naprave ali dostopnosti, za katera vas je morda prosila. Ta dovoljenja so pri večini mobilnih primerov dejanski tovor napada.
5. Če ste se prek kode pridružili omrežju Wi-Fi, pozabite omrežje in predpostavite, da je bilo vse, kar je bilo poslano med povezavo, mogoče opazovati.
6. Prijavite dogodek. V ZDA poročila sprejema FBI-jev IC3, FTC pa sprejema pritožbe potrošnikov; v Združenem kraljestvu se obrnite na Action Fraud. Če je bila koda nalepka na javni infrastrukturi, obvestite tudi lastnika površine — parkirna uprava ne more odstraniti prelepke, za katero ne ve.

Česa ne storite: ne domnevajte, da je bila za skeniranje kriva vaša nepazljivost. FBI in FTC sta javna opozorila izdala prav zato, ker so te kode po zasnovi nerazločljive od legitimnih.

Kako kot podjetje zaščitite svoje stranke?

Če tiskate QR-kode, vaše odločitve določajo, ali se lahko stranke sploh zaščitijo.

1. Uporabljajte statične kode, v katerih je zapisana vaša lastna domena. Predogled bo nato prikazal vaše ime, kar je edini signal za preverjanje, ki je na voljo ob skeniranju. To je sprememba z največjim učinkom, ki vam je na voljo.
2. Ob kodi natisnite URL z berljivim besedilom. Ljudem ponudi pot, ki ne vključuje skeniranja, in nekaj, s čimer lahko primerjajo naslov.
3. Fizične kode redno pregledujte. Prelepljene nalepke delujejo samo, dokler jih nihče ne preverja.
4. Strank nikoli ne usmerjajte prek domene, ki ne vsebuje vašega imena. Tako jih učite, da so nejasni cilji sprejemljivi, sami pa jim ne morete pokazati, kako je videti legitimna koda vašega podjetja.

Tu je koristna usklajenost: izbira, ki vas ščiti pred zajetjem naročnin, je ista, ki vaše stranke ščiti pred lažnim predstavljanjem.

Ustvarite statično kodo, ki v predogledu prikaže vašo lastno domeno: URL QR-koda. Dodatno branje: resnica o prevarah z QR-kodami.